Lo que el contrato obliga

Un requisito de seguridad que no está en el contrato es una expectativa; escrito en el contrato, es una obligación que se puede exigir. Por eso la norma ISO/IEC 27002:2022 tiene un control propio sobre el tema, el 5.20, «Tratamiento de la seguridad de la información en los acuerdos con proveedores», junto al 5.19 (relaciones con proveedores) y al 5.22 (seguimiento y revisión de sus servicios).

Cuando el tercero maneja datos personales hay además un papel legal. En Colombia, la Ley 1581 de 2012 (art. 3) llama Responsable a quien decide sobre la base de datos y su tratamiento, y Encargado a quien trata datos por cuenta del Responsable. Nogal es el Responsable; Cobralia, el Encargado. El Decreto 1074 de 2015 regula el contrato de transmisión de datos entre ambos en su artículo 2.2.2.25.5.2; su contenido mínimo se lee en el texto oficial, aquí no se resume. Esto es formación, no asesoría legal.

Abre SELECT * FROM contrato_clausulas y SELECT * FROM requisitos_nogal. Recorre los ocho requisitos y busca, para cada uno, la cláusula que lo toca. Hay requisitos que el contrato menciona de forma floja (lo verás en la tarea siguiente y en la última) y requisitos que el contrato ni menciona. El segundo caso es el más grave, porque no hay nada que mejorar: hay que escribir la cláusula entera.

Esta forma de revisar —requisito por requisito, no cláusula por cláusula— es la que evita dejar pasar lo que falta, porque lo que falta no aparece en el contrato.

Una cláusula puede estar y quedarse corta. «Medidas razonables», «a la brevedad» o «cualquier parte sin aviso» son frases que parecen cubrir un requisito y no obligan a nada medible. Lo que se contrasta es el texto exacto de la cláusula con el requisito exacto de Nogal. El requisito R-08 pide que la confidencialidad siga vigente después de terminar el contrato; piensa qué cláusula la limita al tiempo del contrato.

Un contrato con confidencialidad que acaba el día en que el contrato acaba protege los datos justo hasta el momento en que más se necesita.

El requisito R-06 fija un tope de responsabilidad no inferior a 12 mensualidades. El contrato lo limita a una. La diferencia importa porque ese tope es lo máximo que Nogal podría recuperar si una fuga en Cobralia le cuesta más. Con SELECT * FROM contrato_datos ves la mensualidad y la facturación anual; con ellas sacas cuánto es el mínimo que la política pide para este contrato.

No es una cifra para discutir con el proveedor aún; es la medida de cuánto está desprotegida Nogal hoy frente a su propia política.

Para renovar, Nogal le pide a Cobralia una cláusula de auditoría: derecho a pedir evidencia y a auditar una vez al año. Cobralia contesta que no concede auditorías a clientes individuales porque ya paga una auditoría independiente cada año y entrega su informe SOC 2. Aquí está el punto de negociar con criterio: el requisito existe para poder verificar, y hay más de una forma de verificar. Lo que no se puede aceptar es quedarse sin ninguna forma.

Una salida defendible es sustituir el derecho de auditoría por la entrega de cada informe SOC 2 tipo II, dentro de un plazo, con alcance que cubra el servicio contratado, más el derecho a pedir evidencia puntual ante un incidente.